Matriz de cumplimiento SAGRILAFT 2026: autodiagnóstico gratuito del sistema unificado en Excel

Una matriz de cumplimiento SAGRILAFT es la lista de verificación con la que una empresa compara lo que exige la norma con lo que tiene implementado, requisito por requisito. Como la Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades unificó el SAGRILAFT y el PTEE en un solo sistema, las matrices armadas con las circulares anteriores ya no sirven. Esta guía presenta una matriz gratuita en Excel con los 115 requisitos del sistema completo y los 22 del Régimen de Medidas Mínimas, explica cómo diligenciarla y muestra un ejemplo resuelto con una empresa ficticia.

Antes de usarlaEs una herramienta orientativa de autodiagnóstico. No reemplaza la asesoría de un profesional que conozca su empresa, no es una certificación de cumplimiento y su resultado no compromete a la Superintendencia de Sociedades. Los requisitos resumen la circular: ante cualquier diferencia, prevalece el texto oficial de la Circular Externa 100-000020, expedida y publicada el 2 de julio de 2026.

Qué es y qué no es esta matriz

La matriz convierte el Capítulo IX de la Circular Básica Jurídica (numerales 9.1 a 9.31) en filas verificables. Cada fila trae el requisito en lenguaje sencillo, el numeral y la página de la circular, la evidencia que normalmente demuestra su cumplimiento y un responsable sugerido. Usted califica, anota lo que revisó y, si hay brecha, define la acción, el responsable y la fecha.

No es la matriz de riesgos LA/FT/FP y C/ST. Esa otra matriz es parte de las etapas del sistema del numeral 9.14 (identificar, medir, controlar y monitorear los riesgos) y se construye con los factores de riesgo propios de la empresa: clientes, productos, canales y jurisdicciones. La matriz de cumplimiento responde una pregunta distinta: si el sistema que exige la circular está diseñado, aprobado y funcionando. En una revisión es frecuente encontrar la confusión al revés: la empresa muestra una lista de requisitos con casillas marcadas cuando se le pide la evaluación de sus riesgos.

Tampoco es un documento para radicar. La circular no pide entregar una matriz de este tipo a Supersociedades. Su utilidad es interna: preparar el informe del Oficial de Cumplimiento a la junta directiva, ordenar el ajuste al sistema unificado y saber qué falta antes de una visita.

Cómo está organizada la herramienta

Las celdas amarillas con texto azul son las que usted diligencia. Las blancas contienen texto de la circular o fórmulas y no se deben modificar. Los códigos S-29, S-58, S-65, S-71 y S-79 no aparecen porque se retiraron al depurar la herramienta: repetían otros requisitos y castigaban dos veces la misma brecha.

Paso 1: confirme qué régimen le aplica

Antes de calificar, abra la hoja de ámbito. Escriba el tipo de entidad, si está sujeta a vigilancia o control de Supersociedades, el sector según el código CIIU del registro mercantil, el valor de la UVB y los ingresos y activos totales al 31 de diciembre del año anterior. La hoja convierte las cifras a UVB y prueba cada supuesto por separado:

• régimen general: ingresos o activos iguales o superiores a 4.929.017 UVB (numeral 9.4);
• sectores obligados al sistema completo: ingresos o activos desde 3.696.762 UVB (numerales 9.5.1 a 9.5.6);
• Régimen de Medidas Mínimas por sector: ingresos desde 369.676 UVB o activos desde 616.127 UVB (numeral 9.6);
• activos virtuales, sectores de régimen especial y cámaras de comercio, con sus reglas propias (numerales 9.5.7 a 9.5.9 y 9.6.6).

Para el corte de 2025 que se usa en 2026, la UVB vale $12.110 (Resolución 3488 de 2025 del Ministerio de Hacienda). El error más común en esta hoja es escribir los ingresos en la celda del valor de la UVB, o usar la UVB de un año distinto al del corte. Si quiere entender cada umbral antes de llenar la hoja, la guía ¿Quién está obligado al SAGRILAFT en 2026? los explica uno por uno.

AdvertenciaLa hoja de ámbito no reemplaza el análisis jurídico de su caso. Si la empresa está en liquidación, tiene un régimen especial de supervisión o su actividad no encaja claramente en los códigos CIIU listados, confirme con un profesional antes de decidir que no está obligada. Recuerde además que quien deja de cumplir los umbrales sigue obligado dos años más en el sistema completo y uno más en el Régimen de Medidas Mínimas (numeral 9.30).

Paso 2: califique cada requisito con evidencia

En la matriz que corresponda, elija para cada fila uno de los seis estados de la lista desplegable. La regla que evita un resultado inflado es sencilla: se califica lo que se puede demostrar, no lo que se sabe que se hace.

Use "No aplica" con cuidado. Una empresa que no se financia por crowdfunding puede excluir ese requisito, pero debe dejar escrito en la columna de evidencia por qué y quién lo certifica. "No aplica" sin justificación es una de las primeras cosas que se cuestionan cuando alguien revisa la matriz.

Cada requisito tiene además un peso de 0 a 3. El peso 3 marca las obligaciones del núcleo del sistema con exposición sancionatoria directa: aprobaciones de la junta, Oficial de Cumplimiento, ROS y AROS, debida diligencia y matriz de riesgos. El peso 0 corresponde a recomendaciones de la circular, como el sistema de métricas del numeral 9.26.2: se califican para hacerles seguimiento, pero no suman ni restan.

Cómo se calcula el porcentaje y cómo leer el tablero

El porcentaje de cada componente es un promedio ponderado: la suma del valor de cada estado multiplicado por su peso, dividida por la suma de los pesos de los requisitos que aplican. Lo que está sin calificar cuenta como 0 %, un criterio conservador para que una evaluación a medias no parezca mejor de lo que es. El tablero traduce el resultado a un semáforo:

• Adecuado: 90 % o más.
• Aceptable: desde 70 %.
• En desarrollo: desde 50 %.
• Crítico: menos de 50 %.

Advertencia sobre la escalaLos pesos, los valores y los umbrales son una propuesta metodológica de Criterio Compliance, no de la Superintendencia. El numeral 9.26.2 dice expresamente que no resulta adecuado establecer una fórmula única para medir la efectividad de un sistema y recomienda que cada empresa defina sus propios indicadores. Puede ajustar la escala en la hoja correspondiente; si lo hace, deje escrito el criterio.

Además del porcentaje, mire dos indicadores del tablero. El primero es el número de requisitos de peso 3 por debajo de 50 %: un sistema puede estar en 70 % y tener sin resolver la designación del Oficial de Cumplimiento. El segundo es el contador de días al 31 de mayo de 2027, fecha límite para que las empresas que ya estaban obligadas por las circulares anteriores ajusten su sistema al Capítulo IX (numeral 9.29).

El ejemplo: una agroexportadora ficticia con 56 %

El archivo de ejemplo evalúa a una agroexportadora de fruta inventada, obligada al sistema completo por ingresos de $82.000 millones (unos 6,8 millones de UVB). Tenía SAGRILAFT y PTEE aprobados por separado y una política integral en borrador. Calificó 110 requisitos y excluyó 5 por no aplicar. Su resultado global es 56 %, en desarrollo, con 11 requisitos críticos por debajo de 50 %.

El patrón es típico de una empresa que venía del SAGRILAFT: lo de lavado de activos está razonablemente montado y lo de corrupción y soborno transnacional quedó atrás. El canal de denuncias era un correo del Oficial de Cumplimiento, sin anonimato ni política de no represalias, cuando el numeral 9.18.1 pide canales que permitan reportar "de manera confidencial y anónima".

Lo más útil del ejemplo son las brechas pequeñas, porque son las que se pasan por alto:

• El AROS del tercer trimestre se radicó el día 12, cuando el numeral 9.19 da diez días calendario siguientes al cierre del trimestre. El componente sale aceptable, pero ese incumplimiento queda registrado.
• El Oficial de Cumplimiento suplente acreditó un diplomado de 60 horas. El numeral 9.9.2, literal c, exige una intensidad mínima de 90 horas para la educación informal.
• Doce productores se pagaron en temporada alta antes de completar su debida diligencia, sin dejar documentada la excepción que admite el numeral 9.15.1.

Todos los datos del ejemplo (actas, porcentajes, cifras y nombres de cargos) son inventados para ilustrar el uso de la herramienta y no corresponden a ninguna empresa real.

Del diagnóstico al plan de acción

Las columnas de la derecha de cada matriz forman el plan de acción: brecha identificada, acción de mejora, responsable, fecha compromiso y estado. La fecha se pone en rojo si venció y la acción no está cerrada, y en naranja si es posterior al 31 de mayo de 2027, porque una acción que termina después del plazo de transición deja a la empresa por fuera de él.

Ese plan tiene un destino natural. El numeral 9.9.5 le pide al Oficial de Cumplimiento presentar a la junta directiva, por lo menos una vez al año, un informe con una evaluación de las actividades, un análisis de la eficiencia y efectividad del sistema "con sus respectivas evidencias" y las mejoras que proponga (literal b), y promover correctivos y actualizaciones por lo menos cada dos años (literal c). El tablero y las brechas priorizadas son un buen insumo para ese informe, siempre que el Oficial lo complemente con su propio análisis.

Errores frecuentes al usar una matriz de cumplimiento

• Calificar por la existencia del documento. Un manual aprobado sin registros de que se aplica es "cumple parcialmente", no "cumple totalmente".
• Copiar las respuestas del ejemplo. El numeral 9.7.1 obliga a evitar el llamado paper compliance: políticas y procedimientos que no se ajustan a la realidad de la empresa y son copias de otros sistemas. El ejemplo sirve para entender el nivel de detalle esperado, no como texto para pegar.
• Hacer la evaluación una sola vez. La matriz rinde cuando se repite: antes del informe anual a la junta y después de cada cambio relevante, como un nuevo mercado, un producto o una reestructuración.
• Evaluar sin el responsable de cada proceso. Tesorería, compras y talento humano tienen las evidencias. Diligenciarla solo desde el área de cumplimiento suele subir la calificación.
• Tomar el porcentaje como opinión de cumplimiento. Un 90 % en la herramienta no significa que Supersociedades vaya a encontrar el sistema adecuado; la autoridad revisa la implementación real y sus soportes.

Preguntas frecuentes